進了我家門,就是一家人?從COVID-19和防疫談零信任是什麼

上次更新:28 2 月, 2024
業界都怎麼保護企業資訊安全?
security logo
Photo by Pixabay on Pexels.com

轉載於科技島全球遠距工作浪潮下,你「零信任」了嗎?|專家論點【黃婉中】 (technice.com.tw)零信任的七個應用,微軟如何保護資訊安全?|專家論點【黃婉中】 (technice.com.tw)

前陣子因為疫情,睽違了一個月才進公司,需要影印的時後發現印表機沒有辦法連上線,問了IT同事才知道,公司現在實施「零信任」,必須要確認身分和裝置才能夠登入。

隔天在做客戶訪談的時候,被問到該怎麼做「零信任」?客戶強調:「可不可以不要講產品,直接告訴我該怎麼做?」

最近「零信任」是個在資訊安全領域非常熱門的話題,連美國政府都在制定零信任策略。其實零信任不是一種產品,更像是保護企業資訊安全的方法論

為什麼大家都在說零信任

除了網路攻擊事件頻傳外,這幾年全球工作模式改變也是一大推手。

過往一間企業裡面所有的電腦、印表機等都在同一個網路中,彼此信任,認為「進了我家門,就是一家人」。因此我們可以便利的使用電腦連接印表機或者在網路硬碟上找到同事的檔案。

這幾年開始流行「數位游牧」與「在家上班」,許多員工和裝置本身並不一定位在辦公室內。加上疫情的推波助瀾,更是讓企業發現「家門外的可能也是自己人」,因而開始放鬆管制。

過了一段時間後,卻發現這樣一來不只網路負擔重,攻擊者也可以利用這些漏洞趁虛而入,反正「只要進得了家門,都是一家人」,而讓企業承受巨大損失。

慢慢地,我們發現是不是家人,不能用家門內外來判斷這麼單純。

brown panel door near roll up gate
Photo by Steve Johnson on Pexels.com

零信任的三個原則與案例,業界都怎麼做?

這三個原則分別是:隨時驗證身分、採用最小權限原則、假設資料已經外洩

以微軟為例,從不假設任何在公司網域內的身分或裝置是安全的,凡事要執行任務前必定會再次確認。實務上,使用多因素認證(Multi-factor authentication)、隨時確認裝置安全、隨時監控服務和裝置的運行狀況達成。

使用多因素認證

有沒有發現,這幾年使用新裝置登入某些服務(例如Gmail、蝦皮)時,除了輸入帳號密碼,還需要輸入傳送到簡訊或電子信箱的驗證碼才能登入?這就是多因素認證,確保即使在密碼外洩的情況下,系統也能夠確認使用者的身分。

多因素認證讓入侵不再只是破解密碼或者資料庫這麼單純,也讓駭客得逞的難度大幅提高。

確認裝置健康

疫情爆發三年以來,大家出入公共場所習慣在門口噴酒精,甚至出入特定公共場所,例如健身房,還需要有疫苗接種證明,目的是確保進出的人類本身不是病毒帶原者,不會帶著病毒跑來跑去。

這樣「確認出入人員健康」的原則其實和零信任相通。執行零信任的企業會確保所有存取企業資源的裝置都是健康的,這裡的健康指的是最新軟體版本、安裝防毒軟體

如果不能確認裝置健康,即使網路和防火牆安全防護做得再好,也難以避免「木馬屠城」的狀況發生,因為病毒就在裝置裡面。

隨時監控服務狀況

即使已經確認使用者身分、確認裝置健康,使用者在服務內的行為仍然要被監控,企業可以利用人工智慧(AI)觀察大量監控數據後形成模型,讓異常的行為模式無所遁形,並隨之進化,降低風險。

員工可以使用個人裝置嗎?

疫情爆發的前兩年,許多員工在完全遠距的情況下上工(on-board),人沒有到公司報到,因為同事都在家上班、甚至電腦也都要過一段時間才能寄到家裡,中間的空窗期只能使用個人電腦。企業如何維持生產力,讓員工以遠端或者混合模式工作,同時兼顧資訊安全?

一是使用虛擬桌面(Virtual Desktop),讓員工使用個人裝置存取企業資源,例如Sharepoint、Onedrive、Teams;二是使用網頁版的Outlook收發信件。

即使偷跑進來,也要確保將傷害降到最小-網路隔離

疫情爆發以來,所有飛入台灣的旅客都需要隔離,隔離天數從兩周到目前的3+4不等。總之,旅客需要被限制行動,待在一個不會接觸到他人的地方,目的就是要避免傳染給更多人。

網路隔離(Network Segmentation)也會將裝置、資料或服務利用規則(Policy)隔離,即使網路受到病毒攻擊了,也能將傷害鎖在一個範圍內,減少損失。

打不開的藏密筒-防止資料外洩

多年前風靡全世界的電影《達文西密碼》裡,蘇菲和蘭登好不容易偷出「藏密筒」(Cryptex),卻發現必須輸入五位數密碼才能解開,還不能暴力破壞,否則裡面的莎草紙就會被流出的醋液腐蝕消失。

微軟使用Microsoft Information Protection防止資料外洩,員工可以在文件上進行分類,當設到最高級別時,即使文件以電子信箱或是隨身碟的方式流到組織外了,也需要本來具有存取權的人才能夠授權打開

圖片來源:藏密筒 by Amazon

降低對VPN的依賴

遠距工作開始盛行後,企業對VPN的依賴明顯增加了,但這樣的情況除了VPN負擔太大,完全把資訊安全由網路把關顯然也不夠全面。

零信任的概念讓資訊保護不再侷限於網路上,而延伸到服務本身。例如當員工需要使用差旅報帳系統時,並不需要透過VPN,透過Internet也可以,但系統會要求必須使用受管理的裝置才能登入,同時使用者身分也需要被確認。

當然,要能達成透過internet直接存取系統,也要仰賴IT團隊將舊的地端系統遷移上雲。

上雲之前你需要知道的事,推薦閱讀:

地端是什麼?可以吃嗎? – 口吃、閱讀筆記、雲端運算、資料分析:中途筆記 (wanchunghuang.com)

害怕上雲嗎?其實你早就在用雲端運算了 – 口吃、閱讀筆記、雲端運算、資料分析:中途筆記 (wanchunghuang.com)

總結

由以上分析我們知道,因為工作型態的轉變,網路資訊安全也必須與時俱進,從「進了我家門,都是一家人」轉變成隨時驗證。

零信任不是一種產品,而是一種方法論。企業可依據「隨時驗證身分」、「採用最小權限原則」、「假設資料已經外洩」三個原則展開行動。

目前市面上相應的資安解決方案已經很多,期待你也能找到適合自己的。

參考資料:

Microsoft’s digital security team answers your Top 10 questions on Zero Trust – Inside Track Blog

你可能也會感興趣

告訴我你的想法:

Subscribe
Notify of
guest

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料

0 Comments
Inline Feedbacks
View all comments